Änderungen gegenüber C5:2020
Grundlage ist die Änderungshistorie des BSI. Bei jedem Kriterium stehen die Änderungen laut BSI und der Wortlaut aus C5:2020. Das BSI veröffentlicht die Änderungshistorie bisher nur auf Englisch, eine deutsche Fassung ist angekündigt.
OIS · Organisation der Informationssicherheit
- OIS-01Informationssicherheitsmanagementsystem (ISMS)
- OIS-02Informationssicherheitsrichtlinie
- OIS-03Schnittstellen und Abhängigkeiten
- OIS-04Aufgabentrennung
- OIS-05Threat Intelligence
- OIS-06Kontakt zu relevanten Behörden und Interessengruppen
- OIS-07Richtlinie für Risikomanagement
- OIS-08Anwendung der Richtlinie für Risikomanagement - Risikobeurteilung
- OIS-09Anwendung der Richtlinie für Risikomanagement - Risikobehandlung
- OIS-10Informationssicherheit im Projektmanagement
SP · Sicherheitsrichtlinien und Arbeitsanweisungen
HR · Personal
- HR-01Überprüfung der Qualifikation und Vertrauenswürdigkeit
- HR-02Beschäftigungs- und Vertragsbedingungen
- HR-03Programm zur Sicherheitsausbildung und Sensibilisierung
- HR-04Maßregelungsprozess
- HR-05Verantwortlichkeiten bei Beendigung oder Änderung der Beschäftigung
- HR-06Vertraulichkeitsvereinbarungen
- HR-07Remote-Arbeit - Richtlinie
- HR-08Remote-Arbeit - Umsetzung
AM · Asset Management
- AM-01Rahmenwerk für Asset Management
- AM-02Asset-Inventar
- AM-03Hardware-Asset-Inventar
- AM-04Software-Asset-Inventar
- AM-05Richtlinie für die ordnungsgemäße und sichere Nutzung von Assets
- AM-06Inbetriebnahme von Hardware
- AM-07Außerbetriebnahme von Hardware
- AM-08Verpflichtung zur ordnungsgemäßen Nutzung, sicheren Handhabung und Rückgabe von Assets
- AM-09Klassifizierung und Kennzeichnung von Assets
- AM-10Schutz von vorübergehend nicht genutzter Hardware
- AM-11Transfer von Hardware
- AM-12Wechselmedien und Endgeräte
PS · Physische Sicherheit
- PS-01Sicherheitsanforderungen für Gebäude und Räumlichkeiten
- PS-02Redundanzmodell
- PS-03Perimeterschutz
- PS-04Physische Zutrittskontrolle
- PS-05Schutz vor Bedrohungen von Außen und aus der Umgebung
- PS-06Schutz vor Unterbrechungen durch Stromausfälle und ähnliche Risiken für Versorgungseinrichtungen
- PS-07Überwachung der Betriebs- und Umgebungsparameter
- PS-08Anforderungen an die Sicherheit von Arbeitsplätzen
OPS · Regelbetrieb
- OPS-01Kapazitätsmanagement - Planung
- OPS-02Kapazitätsmanagement - Überwachung
- OPS-03Kapazitätsmanagement - Steuerung von Ressourcen
- OPS-04Schutz vor Malware - Richtlinien und Verfahren
- OPS-05Schutz vor Malware - Umsetzung
- OPS-06Datensicherung und -wiederherstellung - Richtlinien und Verfahren
- OPS-07Datensicherung und -wiederherstellung - Überwachung
- OPS-08Datensicherung und -wiederherstellung - Regelmäßige Tests
- OPS-09Datensicherung und -wiederherstellung - Aufbewahrung
- OPS-10Protokollierung und Überwachung - Richtlinien und Verfahren
- OPS-11Protokollierung und Überwachung - Richtlinien und Verfahren für den Umgang mit abgeleiteten Cloud-Dienstdaten und Kontodaten
- OPS-12Protokollierung und Überwachung - Zugriff, Aufbewahrungsfristen und Löschung
- OPS-13Protokollierung und Überwachung - Sicherheitsinformations- und Ereignismanagement
- OPS-14Protokollierung und Überwachung - Aufbewahrung der Protokolldaten
- OPS-15Protokollierung und Überwachung - Zurechenbarkeit
- OPS-16Protokollierung und Überwachung - Konfiguration
- OPS-17Protokollierung und Überwachung - Verfügbarkeit der Überwachungssoftware
- OPS-18Umgang mit Schwachstellen - Richtlinien und Verfahren
- OPS-19Umgang mit Vorfällen und Abstürzen - Richtlinien und Verfahren
- OPS-20Umgang mit Vorfällen - Umsetzung
- OPS-21Umgang mit Abstürzen - Implementierung
- OPS-22Umgang mit Schwachstellen, Vorfällen und Abstürzen - Penetrationstests
- OPS-23Umgang mit Schwachstellen, Vorfällen und Abstürzen - Messungen, Analysen und Bewertungen von Abläufen
- OPS-24Einbindung des Cloud-Kunden bei Vorfällen
- OPS-25Umgang mit Schwachstellen, Vorfällen und Abstürzen - Schwachstellenscans
- OPS-26Umgang mit Schwachstellen, Vorfällen und Abstürzen - Systemhärtung
- OPS-27Umgang mit Schwachstellen - Richtlinien und Verfahren zum Patch-Management
- OPS-28Umgang mit Schwachstellen - Implementierung des Patch-Managements
- OPS-29Umgang mit Schwachstellen, Vorfällen und Abstürzen - extern bezogene Komponenten
- OPS-30Trennung von Datensätzen - Richtlinien und Verfahren
- OPS-31Trennung von Datensätzen - Implementierung
- OPS-32Confidential Computing - Richtlinien und Verfahren
- OPS-33Confidential Computing - Remote-Attestierung
- OPS-34Container-Management - Richtlinien und Verfahren
- OPS-35Containermanagement - Implementierung
IAM · Identitäts- und Berechtigungsmanagement
- IAM-01Richtlinie für Identitäten und Zugriffsberechtigungen
- IAM-02Vergabe und Änderung von Identitäten und Zugriffsberechtigungen
- IAM-03Risikobasiertes Verfahren zur Sperrung und zum Entzug von Identitäten
- IAM-04Entzug oder Anpassung von Zugriffsberechtigungen bei Veränderungen des Aufgabengebiets
- IAM-05Regelmäßige Überprüfung von Zugriffsberechtigungen
- IAM-06Privilegierte Zugriffsberechtigungen
- IAM-07Zugriff auf Cloud-Kundendaten
- IAM-08Authentisierungsmechanismen
- IAM-09Vertraulichkeit von Authentisierungsinformationen
CRY · Kryptographie und Schlüsselmanagement
- CRY-01Richtlinie für die Verwendung kryptographischer Mechanismen
- CRY-02Kryptographisches Änderungsmanagement
- CRY-03Überprüfung kryptographischer Verfahren
- CRY-04Schutz von Daten bei der Übertragung
- CRY-05Verschlüsselung von sensiblen Daten bei der Speicherung
- CRY-06Sichere Schlüsselerzeugung
- CRY-07Rotation kryptographischer Schlüssel
- CRY-08Ausstellung von Public-Key-Zertifikaten
- CRY-09Sichere Schlüsselbereitstellung
- CRY-10Sichere Speicherung von Schlüsseln
- CRY-11Archivierung kryptographischer Schlüssel
- CRY-12Management von Statusänderungen kryptographischer Schlüssel
- CRY-13Umgang mit kompromittierten Schlüsseln
- CRY-14Sichere Deaktivierung kryptographischer Schlüssel
- CRY-15Anforderungen an Pre-Shared Keys
- CRY-16Betriebliche Kontinuität für das Schlüsselmanagement
- CRY-17Management des Lebenszyklus kryptographischer Schlüssel
- CRY-18Nutzung externer Schlüsselmanagementsysteme
- CRY-19Sicherer Umgang mit kundenseitig verwalteten Schlüsseln
COS · Kommunikationssicherheit
- COS-01Technische Schutzmaßnahmen
- COS-02Sicherheitsanforderungen an Verbindungen im Netz des Cloud-Anbieters
- COS-03Überwachung von Verbindungen im Netz des Cloud-Anbieters
- COS-04Netzübergreifender Zugriff
- COS-05Netze für die Administration
- COS-06Trennung des Datenverkehrs in gemeinsam genutzten Netzumgebungen
- COS-07Dokumentation der Netztopologie
- COS-08Richtlinien für die Datenübertragung
PI · Portabilität und Interoperabilität
DEV · Beschaffung, Entwicklung und Änderung von Informationssystemen
- DEV-01Richtlinien für die Entwicklung/Beschaffung von Systemkomponenten
- DEV-02Auslagerung der Entwicklung
- DEV-03Richtlinien für Änderungen an Systemkomponenten
- DEV-04Programm für Sicherheitsschulungen und Sensibilisierung in Bezug auf kontinuierliche Software-Bereitstellung und zugehörige Systeme, Komponenten oder Werkzeuge
- DEV-05Designdokumentation für Sicherheitsfunktionen
- DEV-06Risikobeurteilung, Kategorisierung und Priorisierung von Änderungen
- DEV-07Testen von Änderungen
- DEV-08Protokollierung von Änderungen
- DEV-09Versionskontrolle
- DEV-10Freigaben für die Bereitstellung in der Produktionsumgebung
- DEV-11Schutz von Entwicklungs- und Testumgebungen
- DEV-12Trennung der Umgebungen
- DEV-13Transparenz über Softwarekomponenten
- DEV-14Sichere Nutzung von Hardware und Software Dritter
- DEV-15Ausnahmen vom Änderungsmanagementprozess
SSO · Steuerung und Überwachung von Service-Organisationen und Lieferanten
- SSO-01Richtlinien und Verfahren zur Steuerung und Überwachung von Service-Organisationen
- SSO-02Risikobeurteilung von Service-Organisationen
- SSO-03Datenverarbeitung von Service-Organisationen
- SSO-04Verzeichnis von Service-Organisationen
- SSO-05Überwachung der Einhaltung von Anforderungen
- SSO-06Strategie zur Vertragsbeendigung für Service-Organisationen
- SSO-07Sicherstellung von Transparenz innerhalb von Service-Organisationen
- SSO-08Steuerung des Austauschs mit Lieferanten funktionaler Komponenten
SIM · Umgang mit Sicherheitsvorfällen
- SIM-01Richtlinie für den Umgang mit Sicherheitsvorfällen
- SIM-02Pläne zur Reaktion auf Sicherheitsvorfälle
- SIM-03Bearbeitung von Sicherheitsvorfällen
- SIM-04Dokumentation und Berichterstattung über Sicherheitsvorfälle
- SIM-05Verpflichtung des Personals zur Meldung von Sicherheitsvorfällen an eine zentrale Stelle
- SIM-06Auswertung und Lernprozess
BCM · Kontinuität des Geschäftsbetriebs und Notfallmanagement
COM · Compliance
- COM-01Identifizierung anwendbarer gesetzlicher, regulatorischer, selbst auferlegter oder vertraglicher Anforderungen
- COM-02Richtlinie für die Planung und Durchführung von Audits
- COM-03Interne Audits des Informationssicherheitsmanagementsystems
- COM-04Informationen über die Informationssicherheitsleistung und Managementbewertung des ISMS
INQ · Umgang mit behördlichen Auskunfts- und Herausgabeverlangen
- INQ-01Juristische Bewertung von behördlichen Auskunfts- und Herausgabeverlangen
- INQ-02Information der Cloud-Kunden über behördliche Auskunfts- und Herausgabeverlangen
- INQ-03Begrenzung des Zugriffs auf oder der Offenlegung von Daten bei behördlichen Auskunfts- und Herausgabeverlangen
- INQ-04Kommunikation technischer Verfahren zur Datenoffenlegung bei behördlichen Auskunfts- und Herausgabeverlangen
PSS · Produktsicherheit
- PSS-01Leitlinien und Empfehlungen für Cloud-Kunden
- PSS-02Identifikation von Schwachstellen des Cloud-Dienstes
- PSS-03Information der Cloud-Kunden über bekannte Schwachstellen
- PSS-04Fehlerbehandlungs- und Protokollierungsmechanismen
- PSS-05Authentisierungsmechanismen
- PSS-06Session Management
- PSS-07Vertraulichkeit von Authentisierungsinformationen
- PSS-08Rahmenwerk für Rollen und Berechtigungen
- PSS-09Autorisierungsmechanismen
- PSS-10Software-defined Networking
- PSS-11Images für virtuelle Maschinen und Container
- PSS-12Region der Datenverarbeitung und -speicherung
Von C5:2020 nach C5:2026
Jede ID aus C5:2020 und das Kriterium, in dem sie in C5:2026 aufgegangen ist.
- OIS-01
- OIS-01
- OIS-02
- OIS-02
- OIS-03
- OIS-03
- OIS-04
- OIS-04
- OIS-05
- OIS-06
- OIS-06
- OIS-07
- OIS-07
- OIS-08
- SP-01
- SP-01
- SP-02
- SP-02
- SP-03
- SP-03
- HR-01
- HR-01
- HR-02
- HR-02
- HR-03
- HR-03
- HR-04
- HR-04
- HR-05
- HR-05
- HR-06
- HR-06
- AM-01
- AM-02
- AM-02
- AM-05
- AM-03
- AM-06
- AM-04
- AM-07
- AM-05
- AM-08
- AM-06
- AM-09
- PS-01
- PS-01
- PS-02
- PS-02
- PS-03
- PS-03
- PS-04
- PS-04
- PS-05
- PS-05
- PS-06
- PS-06
- PS-07
- PS-07
- OPS-01
- OPS-01
- OPS-02
- OPS-02
- OPS-03
- OPS-03
- OPS-04
- OPS-04
- OPS-05
- OPS-05
- OPS-06
- OPS-06
- OPS-07
- OPS-07
- OPS-08
- OPS-08
- OPS-09
- OPS-09
- OPS-10
- OPS-10
- OPS-11
- OPS-11
- OPS-12
- OPS-12
- OPS-13
- OPS-13
- OPS-14
- OPS-14
- OPS-15
- OPS-15
- OPS-16
- OPS-16
- OPS-17
- OPS-17
- OPS-18
- OPS-18
- OPS-19
- OPS-22
- OPS-20
- OPS-23
- OPS-21
- OPS-24
- OPS-22
- OPS-25
- OPS-23
- OPS-26
- OPS-24
- OPS-31
- IDM-01
- IAM-01
- IDM-02
- IAM-02
- IDM-03
- IAM-03
- IDM-04
- IAM-04
- IDM-05
- IAM-05
- IDM-06
- IAM-06
- IDM-07
- IAM-07
- IDM-08
- IAM-08
- IDM-09
- IAM-09
- CRY-01
- CRY-01
- CRY-02
- CRY-04
- CRY-03
- CRY-05
- COS-01
- COS-01
- COS-02
- COS-02
- COS-03
- COS-03
- COS-04
- COS-04
- COS-05
- COS-05
- COS-06
- COS-06
- COS-07
- COS-07
- COS-08
- COS-08
- PI-01
- PI-01
- PI-02
- PI-02
- PI-03
- PI-03
- DEV-01
- DEV-01
- DEV-02
- DEV-02
- DEV-03
- DEV-03
- DEV-04
- DEV-04
- DEV-05
- DEV-06
- DEV-06
- DEV-07
- DEV-07
- DEV-08
- DEV-08
- DEV-09
- DEV-09
- DEV-10
- DEV-10
- DEV-12
- SSO-01
- SSO-01
- SSO-02
- SSO-02
- SSO-03
- SSO-04
- SSO-04
- SSO-05
- SSO-05
- SSO-06
- SIM-01
- SIM-01
- SIM-02
- SIM-03
- SIM-03
- SIM-04
- SIM-04
- SIM-05
- SIM-05
- SIM-06
- BCM-01
- BCM-01
- BCM-02
- BCM-02
- BCM-03
- BCM-03
- BCM-04
- BCM-04
- COM-01
- COM-01
- COM-02
- COM-02
- COM-03
- COM-03
- COM-04
- COM-04
- INQ-01
- INQ-01
- INQ-02
- INQ-02
- INQ-03
- INQ-01
- INQ-04
- INQ-03
- PSS-01
- PSS-01
- PSS-02
- PSS-02
- PSS-03
- PSS-03
- PSS-04
- PSS-04
- PSS-05
- PSS-05
- PSS-06
- PSS-06
- PSS-07
- PSS-07
- PSS-08
- PSS-08
- PSS-09
- PSS-09
- PSS-10
- PSS-10
- PSS-11
- PSS-11
- PSS-12
- PSS-12
Texte des BSI aus C5:2026 und der Änderungshistorie: © Bundesamt für Sicherheit in der Informationstechnik 2026, unverändert unter CC BY-ND 4.0. Inoffizielle Website ohne Verbindung zum BSI. Lizenz und Quellen